Česká společnost v podstatě krizové řízení zvládla

Uplynulé roky přinesly výzvy pro kritickou infrastrukturu. Podle výkonného ředitele Asociace kritické infrastruktury (AKI ČR) Michala Moroze jsme si s nimi poradili a čekají nás změny, které přinese zákon o kritické infrastruktuře. Současně se však domnívá, že kvůli ustanovení umožňujícímu ministerstvu vnitra zakázat jakéhokoliv dodavatele, nebude zákon včas projednán.

► Byly výzvy pro kritickou infrastrukturu v uplynulých letech – covid, energetická krize, válka na Ukrajině či živelné pohromy – „zkouškou ohněm“?

Událostí v uplynulých zhruba pěti letech bylo mnoho, ať s dopadem na celou společnost, jako byl covid a energetická krize vyvolaná válkou na Ukrajině, nebo lokálních typu tornádo na jižní Moravě, povodně či požár v Hřensku, popřípadě havárie, například Bečva. Zároveň přibývá událostí, které mají původ v lidském faktoru a často i zlém úmyslu. Mluví se o sabotážích, byť k nim není příliš informací, a dominantním tématem je výrazný nárůst kybernetických útoků.

► Jak si Česko s těmito výzvami poradilo?

Na úrovni státu bych politikům vytkl, že nevyužili nastaveného systému. Zejména za covidu chtěli všemu velet jak premiér, tak ministr vnitra a systém krizového řízení nebyl použit, jak byl nastaven. Česká společnost se s tím vyrovnala v podstatě solidně. Slabiny se ukázaly zejména v tom, že systém byl nastaven na události, s nimiž už jsme měli zkušenosti, především na povodně, jež jsou většinou regionální. Nebyli jsme připraveni na událost celospolečenského rozsahu, jako byl covid.

► Obstály subjekty kritické infrastruktury?

To se liší dle toho, zda šlo o státem určené subjekty, které měly povinnost se na danou situaci připravit. Ty si vesměs s problémy poradily se ctí. Pak je ale řada subjektů, které do kritické infrastruktury nespadaly, ačkoliv by měly. Ty byly v mnohem těžší situaci, protože často neměly finanční prostředky ani materiál, a proto musely improvizovat.

► Co spadá do kritické infrastruktury?

Podle současné legislativy energetika, doprava, vodárenství nebo zdravotnictví. Problémem je, že rozhodnutí, který subjekt bude, či nebude patřit do kritické infrastruktury, je dnes ponecháno na ministerstvech, pod něž dané gesce spadají. Některá, například ministerstvo průmyslu a obchodu, pečlivě určují, co je, a co není kritickou infrastrukturou v energetice a telekomunikacích. Jiná jsou značně benevolentní, třeba na ministerstvu zdravotnictví by mělo být určeno mnohem více zařízení. Situace se ale výrazně změní.

► V čem tato změna spočívá?

Chystáme se na transpozici evropské směrnice o kritické infrastruktuře do vlastního nového zákona o kritické infrastruktuře. Systém se bude měnit tak, že subjekty kritické infrastruktury bude centrálně určovat ministerstvo vnitra a rozšíří se i okruh odvětví, a proto vzroste počet určených subjektů.

► Jak evropskou směrnici hodnotíte?

Nemohu o ní říct nic špatného, protože postihuje to, o co jsme usilovali i při zakládání Asociace kritické infrastruktury v roce 2019. O horizontální přesah, tedy o vztahy mezi odvětvími, jelikož doteď jsme se na kritickou infrastrukturu dívali spíše vertikálně a neřešili provázanost a závislost odvětví. To směrnice mění. Druhou zásadní změnou je, že už se nebude na kritickou infrastrukturu hledět optikou objektů, tedy zda daný subjekt provozuje prvek kritické infrastruktury, ale přes služby, tedy zda se poskytuje služba kritická pro společnost a její fungování. Obojí je správné.

► A co český zákon?

Stát má povinnost transponovat vše, co po něm požaduje směrnice, plus může něco přidat, což se stalo i v tomto případě. Pochválil bych ministerstvo vnitra, konkrétně Generální ředitelství Hasičského záchranného sboru ČR, které tuto směrnici transponuje, protože zákon navržený a předložený legislativní radě vlády je kvalitní jak z hlediska přenosu směrnice do české legislativy, tak ustanovení, která hasiči přidali. Jednu věc bych ale zkritizoval. Na ministerstvu vnitra, konkrétně na odboru bezpečnostní politiky, se rozhodli včlenit do zákona také možnost zakazovat či omezovat dodavatele. K tomu má Asociace kritické infrastruktury řadu výhrad.

► Proč to považujete za kontroverzní?

Kontroverzní je to zejména proto, že jde o duplicitní věc. Stát souběžně připravuje regulaci dodavatelů zákonem o kybernetické bezpečnosti, která je dost třaskavé téma a zbrzdila začlenění směrnice NIS2 do českého právního řádu. V současnosti to vypadá, že se zákonodárcům podařilo najít kompromis a o zákazech bude rozhodovat vláda. V zákoně o kritické infrastruktuře největší problém spočívá v tom, že ministerstvo vnitra se snaží převzít kompetenci zakázat jakéhokoliv dodavatele v jakémkoliv segmentu, aniž by se subjekty mohly bránit. Mělo by obrovskou moc a můžeme se bavit, zda je to ústavní.

► Řízení rizik v dodavatelském řetězci tedy není nezbytné?

Naopak. Důležitost řízení rizik v dodavatelském řetězci a jeho nezbytnost vnímá celý segment kritické infrastruktury. Především proto, že subjekty, které se chovají odpovědně, tento problém už dávno řeší, a většina mnohem lépe než stát. Jde spíše o to, aby byla bezpečnostní rizika v kritické infrastruktuře řešena kvalitním sdílením informací státu se subjekty kritické infrastruktury jak tam, kde by to bylo potřeba, tak v utajovaném režimu. Subjekt by měl mít v prvé řadě možnost si riziko sám řídit, což valná většina z nich dělá, a až se ukáže, že to není možné, měl by zasáhnout stát, třeba zákazem. Jen by se nemělo zapomínat, že takové zákazy mohou mít i významné geopolitické a finanční dopady, takže by o nich nemělo rozhodovat ministerstvo, ale vláda.

► V zásadě stejný problém řeší poslanci v zákoně o kybernetické bezpečnosti, jenž se na možnosti státu zakazovat dodavatele zasekl, a nyní se našel kompromis, tedy přenesení rozhodovací pravomoci na vládu. Hrozí tento scénář i u zákona o kritické infrastruktuře?

Nepochybně. Ministerstvo vnitra se rozhodnutím včlenit do zákona tento paragraf dostalo do časové pasti, protože jeho projednání se z tohoto důvodu zaseklo na legislativní radě vlády. Bude-li trvat na tom, že daný paragraf v něm zůstane, je ohrožena ani ne tolik transpoziční lhůta, tu jsme už nestihli, jako zejména projednání zákona před letošními volbami.

► Stát dnes nemá jinou možnost, jak nežádoucímu subjektu působení v kritické infrastruktuře zakázat?

Má zákon o ochraně zahraničních investic. Pokud řešíme někoho, kdo vstupuje na české území, má zde strategickou investici a chceme mu v tom zabránit, pak tu možnost máme. Zákon o národních sankcích brání zahraniční právnické i fyzické osobě podílet se na aktivitách v Česku, je- -li považovaná za bezpečnostní riziko. Stát by ho měl využívat, protože slouží k tomu, co chce dělat v rámci kontroverzního paragrafu v zákoně o kritické infrastruktuře. Pak je tu chystané ustanovení v zákoně o kybernetické bezpečnosti, kde tuto možnost bude mít vláda. Další, v podstatě stejné opatření, které by měl jeden úřad bez mantinelů, je nadbytečné i nebezpečné.

► Bude přijímání zákona o kritické infrastruktuře podobné jako u zákona o kybernetické bezpečnosti? Tedy dojde ke kompromisu a pravomoc bude mít vláda?

To si nedokážu představit, protože kompromis u zákona o kybernetické bezpečnosti znamená, že se zakotvil mechanismus použitelný třeba pro zákaz technologií z dané země. Jediná cesta, jak zákon o kritické infrastruktuře schválit do voleb, je z něj paragraf 16 vyškrtnout.

► Na Ukrajině je kritická infrastruktura kvůli válce pod obrovským tlakem. Můžeme si z jejího krizového řízení vzít nějaké ponaučení?

Asociace kritické infrastruktury byla ve spolupráci s ministerstvem zahraničí na Ukrajině loni v létě. Objeli jsme řadu subjektů kritické infrastruktury a sbírali jejich poznatky. Nejdůležitější je, že pokud nastane konvenční konflikt, hlavním cílem je energetická a telekomunikační infrastruktura, protože je nejzranitelnější a má největší sekundární dopady – zásah těchto prvků kritické infrastruktury vyřadí i další za nimi, například letiště, dopravu nebo vodárny. Druhý důležitým poznatkem je odpověď na otázku, co s tím dělat.

► A co s tím dělat?

Ukrajinská zkušenost ukazuje tři hlavní poznatky. Prvním je redundance, tedy mít vyřešené zálohování. Druhým lokalizace, tedy ochrana kritické infrastruktury na místní úrovni a snižování závislosti na centrálních prvcích, s čímž souvisí třetí, decentralizace, tedy schopnost mít třeba víc malých zdrojů vzdálených od sebe než jeden velký centrální, třeba mít možnost propojit sítě ve vodárenství.